DZI liên quan đến một đề nghị bán 3,1 triệu hồ sơ dữ liệu danh tính

**Một bài đăng trên một diễn đàn ngầm cho biết rằng 3.134.269 hồ sơ được cho là thuộc về DZI Insurance, với số danh tính quốc gia, hộ chiếu và địa chỉ, đang được rao bán tại Bulgaria. Thông tin này chưa được xác minh độc lập, nhưng khối lượng và tính chất của dữ liệu đặt ra những rủi ro đáng kể cho danh tính kỹ thuật số và các biện pháp kiểm soát an ninh của các tổ chức tài chính.

• Một bài đăng cho rằng việc khai thác này là do một API không được bảo vệ đầy đủ từ cổng thông tin khách hàng của DZI Insurance.
• Tập hợp được công bố sẽ bao gồm số danh tính quốc gia, hộ chiếu, ngày sinh, tên, địa chỉ, email và số điện thoại.
• Đề nghị, được quan sát vào ngày 1 tháng 9 năm 2026, giới hạn việc bán cho hai người mua và vẫn chưa có giá công khai.

DZI liên quan đến một đề nghị bán 3,1 triệu hồ sơ dữ liệu danh tính

Một bài đăng trên một diễn đàn ngầm rao bán 3.134.269 hồ sơ mà theo tuyên bố của người bán, thuộc về khách hàng của DZI Insurance, một công ty Bulgaria liên kết với KBC Group. Thông báo cho biết rằng dữ liệu đã được khai thác vào ngày 21 tháng 5 năm 2026 thông qua một API không được bảo vệ đầy đủ từ cổng thông tin khách hàng, mặc dù không xác định được điểm cuối hay lỗ hổng cụ thể. Thông tin này được quan sát vào ngày 1 tháng 9 năm 2026 và vẫn chưa được xác minh độc lập.

Tập hợp được công bố sẽ bao gồm số danh tính quốc gia, ngày sinh, số hộ chiếu, ngày phát hành và cơ quan phát hành, cũng như tên viết bằng chữ Cyrillic và Latin. Nó cũng sẽ chứa địa chỉ đầy đủ, email, tối đa hai số điện thoại cho mỗi hồ sơ và các chỉ số liên quan đến SMS, quốc tịch, nơi cư trú và loại người. Người bán khẳng định rằng có các tệp JSON chưa xử lý và hứa hẹn sẽ cung cấp thông tin bổ sung cho người mua.

Đề nghị xuất hiện với tên của một diễn viên Intelligence, một giới hạn bán cho hai người mua và một mức giá chỉ có thể được biết qua yêu cầu. Dark Web Informer đã mô tả bài đăng này như một cáo buộc chưa được xác nhận, vì không thu hồi được dữ liệu hay liên kết các tệp được cung cấp. Cả DZI và công ty mẹ của nó chưa công khai giải quyết cáo buộc này vào thời điểm báo cáo.

Những gì thông báo nói về việc khai thác

Bài đăng cho rằng việc truy cập ban đầu đến từ một giao diện bị lộ của cổng thông tin khách hàng, một mô tả có thể phù hợp với việc khai thác một ứng dụng hướng tới công chúng, nhưng không tự chứng minh được cách mà sự cố xảy ra. Câu chuyện không cung cấp tên của các điểm cuối, thông điệp lỗi, ảnh chụp kỹ thuật hay bằng chứng có thể tái tạo về sự cố được cho là. Do đó, việc đề cập đến một API không được bảo vệ phải được coi là một tuyên bố thương mại của diễn viên, không phải là một kết luận pháp y.

Người bán khẳng định rằng đã khai thác các hồ sơ với số lượng lớn và có thể cung cấp cả một tập hợp bảng và các tệp JSON chưa xử lý. Sự kết hợp này sẽ tương thích với thông tin thu được thông qua một giao diện truy vấn, mặc dù cũng có thể được trình bày để tăng độ tin cậy của một đề nghị ngầm. Sự tồn tại của các định dạng hợp lý không xác nhận rằng dữ liệu đến từ DZI hay rằng tất cả các hồ sơ đều hiện tại.

Bài đăng liệt kê các trường cho phép liên kết một danh tính dân sự với các tài liệu chính thức và các kênh liên lạc. Trong số đó có số danh tính quốc gia, thông tin hộ chiếu và cơ quan phát hành. Sự kết hợp này biến tập hợp được cho là thành một thứ nhạy cảm hơn nhiều so với một cơ sở dữ liệu email hay số điện thoại đơn lẻ.

Thông báo cũng khẳng định rằng có thể có các giao hàng bổ sung, một lời hứa thường thấy trên các thị trường ngầm vì nó nhằm tăng áp lực lên các người mua tiềm năng. Giới hạn hai người mua gợi ý một chiến lược lưu thông hạn chế, có thể là để tăng giá hoặc để giảm sự tiếp xúc công khai với vật liệu. Tuy nhiên, tài khoản mới của diễn viên, bài đăng duy nhất của anh ấy và sự thiếu vắng một mức giá có thể xác minh ngăn cản việc đánh giá chính xác tính xác thực hoặc quy mô thực sự của đề nghị.

Rủi ro khi tập trung các định danh vĩnh viễn

Số định danh quốc gia đóng vai trò trung tâm trong mối quan hệ của công dân Bulgaria với các tổ chức ngân hàng, y tế và chính phủ, theo mô tả của báo cáo. Khác với mật khẩu hoặc số điện thoại, đây không phải là thông tin mà một người có thể dễ dàng thay đổi sau khi bị lộ. Khi được kết hợp với tên, ngày sinh và địa chỉ, nó có thể tạo điều kiện cho các nỗ lực giả mạo nhắm vào các dịch vụ vẫn phụ thuộc vào các xác minh cơ bản.

Việc tiếp cận các số hộ chiếu giả định thêm một lớp nhạy cảm khác, đặc biệt vì thông báo sẽ bao gồm ngày phát hành và cơ quan chịu trách nhiệm cho mỗi tài liệu. Một hồ sơ với những trường đó, cùng với số điện thoại và email, có thể được sử dụng để xây dựng các thông điệp kỹ thuật xã hội có vẻ hợp pháp. Hệ quả này là tiềm năng và không đồng nghĩa với việc khẳng định rằng đã xảy ra gian lận, truy cập ngân hàng hoặc sử dụng trái phép thông tin.

Khối lượng được thông báo đạt 3.134.269 hồ sơ và, nếu là thật và không chứa các bản sao đáng kể, sẽ đại diện cho một tỷ lệ đáng kể của dân số trưởng thành ở Bulgaria. Quy mô đó chuyển câu hỏi từ việc xác định một vài nạn nhân sang việc xem xét bao nhiêu tổ chức vẫn chấp nhận một tên và một định danh quốc gia như bằng chứng đủ về danh tính. Nó cũng tăng cường sự quan tâm của vụ việc đối với các công ty bảo hiểm, ngân hàng, nhà cung cấp dịch vụ y tế và các cơ quan công cộng chia sẻ quy trình xác minh.

Việc bán hạn chế cho hai người mua có thể giảm sự phát tán ngay lập tức, nhưng không loại bỏ nguy cơ khai thác có chủ đích bởi một nhóm nhỏ. Một cơ sở dữ liệu tập trung trong tay một vài người có thể được sử dụng để chọn mục tiêu, đối chiếu thông tin với các tập hợp khác hoặc thử nghiệm các kịch bản liên lạc được cá nhân hóa cao. Vì không có xác nhận về việc truy cập, bán hoặc sử dụng sau đó, những khả năng này phải được trình bày như là các kịch bản rủi ro chứ không phải là sự thật đã xảy ra.

Những gì được biết và những gì chưa được xác nhận

Báo cáo chỉ ra rằng mẫu quan sát được giữ nguyên các phiên âm chữ Cyrillic và Latin tương ứng, các định dạng định danh hợp lý và các địa điểm Bulgaria thực tế. Những yếu tố đó có thể khó chế tạo quy mô lớn, nhưng một mẫu nhất quán không chứng minh một mình rằng nguồn gốc là DZI Insurance. Đánh giá kỹ thuật cũng thiếu một xác nhận trực tiếp với công ty, một chuỗi bảo quản của các tệp và một so sánh công khai với các hồ sơ hợp pháp.

Ngoài ra còn có những dấu hiệu khuyên nên thận trọng trước khi biến đề nghị thành một vụ rò rỉ đã được xác nhận. Tài khoản của người bán hoàn toàn mới, chỉ ghi nhận một bài đăng, không cho thấy lịch sử giao dịch và không công bố mức giá; hơn nữa, lời hứa về dữ liệu mới là một phần của các chiến thuật thông thường để thu hút người mua. Những hoàn cảnh này không bác bỏ thông báo, nhưng giảm bớt niềm tin có thể được gán cho các tuyên bố thương mại của nó.

Ngày được cho là ngày rút dữ liệu cần được xem xét đặc biệt, vì ngày 21 tháng 5 năm 2026 trước hơn ba tháng so với quan sát công khai thông báo, diễn ra vào ngày 1 tháng 9 cùng năm. Sự chậm trễ có thể có nhiều lý do khác nhau, bao gồm một cuộc bán riêng tư hoặc một công bố sau khi thu thập dữ liệu, nhưng báo cáo không đưa ra câu trả lời. Tại một khu vực pháp lý của Liên minh Châu Âu, bất kỳ thông báo nào cho cơ quan có thẩm quyền cũng sẽ là một khía cạnh cần được làm rõ.

Hiện tại, vụ việc cần được mô tả như một đề nghị chưa được xác minh về dữ liệu được cho là của DZI Insurance, không phải như một sự xâm nhập đã được xác nhận vào công ty. Việc xác nhận sẽ yêu cầu một phản hồi từ DZI hoặc KBC Group, phân tích các mẫu được thu thập hợp pháp, bằng chứng kỹ thuật về API và đánh giá xem các hồ sơ có xác thực, gần đây và độc quyền hay không. Trong khi những yếu tố đó chưa xuất hiện, dữ liệu vững chắc nhất là sự tồn tại của công bố và không phải là tính xác thực của tất cả những gì người bán hứa hẹn.

Tập này minh họa lý do tại sao các tổ chức quản lý danh tính cần áp dụng các biện pháp kiểm soát mạnh mẽ hơn chỉ là một mật khẩu và một định danh tĩnh. Nó cũng nhắc nhở người dùng rằng một đề nghị bí mật có thể trộn lẫn dữ liệu thực, thông tin cũ và tài liệu được tạo ra để có vẻ thuyết phục. Việc giám sát, thông báo kịp thời và xác thực bổ sung vẫn là điều thiết yếu, mặc dù không có biện pháp nào trong số đó có thể xác nhận một mình rằng tập hợp này đã được rút ra từ DZI.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.